最新文章
Top News
揭露黑客利用微软 Entra ID 特权升级的秘密
Hackernews 编译，转载请注明出处： 网络安全研究人员发现了一个与Microsoft Entra ID(以前的Azure Active Directory)应用程序相关的特权升级案例，该应用程序利用了一个废弃的回复URL。 Secureworks反威胁小组(CTU)在上周发布的一份技术报告中表示:“攻击者可以利用这个废弃的URL将授权码重定向到自己，将非法获得的授权码交换为访问令牌。然后，攻击者可以通过中间层服务调用Power Platform API，并获得更高的权限。”...
研究人员在十几个广泛使用的 URL 解析器库中发现了 bug
研究员在对16种不同的URL解析库进行研究时发现了不一致和混淆，这可能被用来绕过验证，并且易受到黑客的攻击。 在一项由网络安全公司 Claroty 和 Synk 联合进行的深入分析中，他们在许多第三方库中发现八个安全漏洞，这些漏洞是用 C、 JavaScript、 PHP、 Python 和 Ruby 语言编写的，并被多个 web 应用程序使用。 研究人员在与 The Hacker News 共享的一份报告中表示: “ URL 解析中的混乱可能会导致软件中出现意想不到的情况(比如 web 应用程序) ，并可能被攻击者利用来导致拒绝服务情况、信息泄露，或者可能造成远程代码执行攻击。”...
URL 传输库 libcurl 现多个漏洞或致敏感信息泄露，最早可追溯至 1999 年
外媒 1 月 25 日消息，研究人员发现客户端 URL 传输库 libcurl 正受到一些漏洞影响。其中一个在很大程度上与 HTTP 请求中处理自定义标头的方式有关，可能会导致认证数据泄露给第三方。 除此之外， HTTP 请求中处理自定义标头 当被要求在 HTTP 请求中发送自定义标头时，libcurl 会首先将这组标头发送给初始 URL 中的主机。但若被要求遵循重定向，并且返回一个 30X 的 HTTP 响应代码，那么 libcurl 则会发送给响应头值中的 URL 所提及的主机。...
网络钓鱼新模式，黑客利用连字符伪造 URL
PhishLabs 安全研究人员发现一种新型钓鱼方式，允许黑客利用手机端 URL 地址栏长度不足的劣势引导用户进入钓鱼网站。目前，这一手段已让大量在手机端使用 Facebook 的用户纷纷中招。 研究人员透露，新的攻击策略依赖于移动浏览器 URL 地址栏过窄，从而阻碍了用户查看全部链接内容的漏洞。据悉，黑客利用子域名和连字符等字符串填充 URL，让整个链接在移动设备中看起来极其真实，可一旦用户进入则会被引导至钓鱼网址。...